En un giro irónico del destino, un error de configuración por parte de un operador de malware ha permitido a los investigadores de ciberseguridad obtener una visión sin precedentes del «backstage» de una campaña criminal moderna. La firma Rapid7 logró acceder a un servidor de entrega expuesto, descargando un kit de herramientas compuesto por 1.048 archivos que revelan cómo la Inteligencia Artificial (IA) está transformando el desarrollo de ciberataques.
La IA como motor de eficiencia en el cibercrimen
Lo más destacado de este hallazgo no es solo el malware en sí, sino la metodología de trabajo del atacante. Según los informes, el operador utilizó herramientas de codificación asistidas por IA (como el agente de código abierto Coderrr) para producir, probar y documentar su infraestructura de phishing a una velocidad asombrosa.
Los archivos recuperados incluyen notas de README, guías de generación de señuelos y matrices de prueba que presentan el formato típico, la verbosidad y el uso de emojis característicos de los modelos de lenguaje de gran tamaño (LLM). Como señala el equipo de investigación, el atacante operaba más como un equipo de desarrollo de software moderno que como un hacker tradicional, utilizando la IA para escalar sus operaciones.
Anatomía del ataque: El caso de México y WebDAV
La campaña detectada estaba activamente dirigida a usuarios en México, utilizando un sitio web falso que suplantaba el servicio gubernamental de consulta de la CURP (Clave Única de Registro de Población). El proceso de infección seguía estos pasos técnicos:
- Ingeniería Social: Se atraía a las víctimas a un dominio malicioso (typosquatting) que imitaba al oficial.
- Explotación de WebDAV: El sitio utilizaba una consulta
search-ms:para abrir un recurso compartido WebDAV controlado por el atacante directamente en el Explorador de Archivos de Windows de la víctima. - Técnica RTLO: El archivo malicioso, un ejecutable
.scr, utilizaba la técnica Right-to-Left Override para invertir su nombre y aparecer ante el usuario como un PDF inofensivo. - Payload: Una vez ejecutado, instalaba un infostealer diseñado para robar billeteras de criptomonedas, credenciales de navegador, cookies de sesión y cuentas de Telegram.
Vulnerabilidades y persistencia
El kit de herramientas incluía pruebas exhaustivas para la vulnerabilidad CVE-2025-33053 (una vulnerabilidad de secuestro de directorio de trabajo en WebDAV). Aunque Microsoft lanzó un parche en junio de 2025, el atacante había desarrollado un conjunto de 59 archivos de prueba para encontrar otros binarios firmados de Windows que pudieran ser vulnerables a técnicas similares, demostrando una mentalidad de mejora continua.
Implicaciones para el entorno empresarial
Este incidente subraya una realidad ineludible: las barreras de entrada para crear ciberataques sofisticados están disminuyendo gracias a la IA. Las organizaciones ya no solo se enfrentan a códigos maliciosos, sino a flujos de trabajo automatizados que pueden generar variantes de phishing personalizadas y técnicamente complejas en cuestión de minutos.
Desde Intedya, recomendamos a las empresas reforzar sus políticas de seguridad y concienciación:
- Actualización de Sistemas: Asegurar que los parches críticos de Windows (especialmente los relacionados con WebDAV y MSHTML) estén al día.
- Monitoreo de Red: Vigilar el inicio del servicio WebClient y conexiones de
davclnt.dllhacia hosts remotos no autorizados. - Formación en Ingeniería Social: Capacitar al personal para identificar técnicas de ofuscación de archivos, como extensiones dobles o nombres de archivos sospechosos.
La exposición de este servidor nos recuerda que, aunque los atacantes utilicen tecnología de vanguardia, los errores humanos básicos —como dejar un servidor administrativo con credenciales por defecto— siguen siendo su mayor
Fuentes
- The Hacker News — Exposed Server Reveals AI-Assisted Phishing Toolkit Behind WebDAV Malware Campaign
https://thehackernews.com/2026/07/exposed-server-reveals-ai-assisted.html